Кратък отговор: Съгласно GDPR, администраторът на данни определя защо и как се обработват лични данни, докато обработващият данни обработва данни единствено по инструкции на администратора. Отговорността се различава значително: администраторите носят най-широка отчетност, докато обработващите данни носят пряка отговорност само когато действат извън законосъобразни инструкции или нарушават задължения по GDPR, конкретно насочени към тях.
Основни изводи
- Администраторът на данни решава целите и средствата за обработка; обработващият данни действа от името на администратора.
- Администраторите носят основна отговорност по GDPR; обработващите данни носят пряка отговорност съгласно член 82 само при специфични обстоятелства.
- И двете роли могат да съществуват едновременно в една организация; една компания може да бъде администратор за собствените си клиенти и обработващ данни за друг бизнес.
- Правно обвързващо Споразумение за обработка на данни (DPA) е задължително винаги, когато администраторът ангажира обработващ данни.
- Подизпълнителите изискват предварително писмено разрешение от администратора; основният обработващ данни остава изцяло отговорен за поведението на подизпълнителя.
- Грешното класифициране на вашата роля е риск за съответствие, който може да изложи вашата организация на регулаторни санкции.
- Обработващите данни, които използват лични данни за собствени цели, автоматично стават администратори за тази дейност по обработка.
- Законът за данните (използване и достъп) от 2026 г. на Обединеното кралство въвежда допълнителни промени, които организациите, работещи съгласно UK GDPR, трябва незабавно да прегледат.
Каква е разликата между администратор на данни и обработващ данни съгласно GDPR?
Администратор на данни е всяко лице, което определя целите и средствата за обработка на лични данни. Обработващ данни е всяко лице, което обработва лични данни от името на администратор, стриктно следвайки инструкциите на администратора [1].
Разграничението зависи от правомощията за вземане на решения. Ако вашата организация решава защо се събират данни и как ще бъдат използвани, вие сте администраторът. Ако вашата организация обработва данни само защото друго лице ви е инструктирало да го направите и нямате независимо мнение относно целта, вие сте обработващият данни.
Практически примери:
| Сценарий | Роля |
|---|---|
| Търговец на електронна търговия, събиращ данни за покупки на клиенти | Администратор |
| Доставчик на облачен хостинг, съхраняващ базата данни на този търговец | Обработващ данни |
| SaaS платформа за заплати, обработваща данни на служители за работодател | Обработващ данни |
| Маркетингова агенция, изграждаща собствен списък с потенциални клиенти | Администратор |
| Доставчик на CRM, достъпващ данни на клиенти за предоставяне на поддръжка | Обработващ данни |
ICO подчертава, че етикетът в договор не определя ролята, а действителното поведение [1]. Доставчик, наречен "обработващ данни" в договор, но вземащ независими решения относно използването на данни, е юридически администратор, независимо от това какво гласи споразумението.
Какви са основните отговорности на администратора на данни съгласно GDPR?
Администраторите носят най-голямата тежест за съответствие съгласно GDPR. Те са отговорни за целия жизнен цикъл на данните и трябва да гарантират, че всеки обработващ данни, когото ангажират, отговаря на стандартите на GDPR [3].
Основните задължения на администратора включват:
- Установяване и документиране на законово основание за всяка дейност по обработка
- Предоставяне на прозрачни известия за поверителност на субектите на данни
- Улесняване на правата на субектите на данни, достъп, коригиране, изтриване, преносимост и възражение
- Извършване на оценки на въздействието върху защитата на данните (DPIA) за високорискова обработка
- Назначаване на длъжностно лице по защита на данните (DPO), когато е необходимо
- Извършване на надлежна проверка преди ангажиране на обработващи данни и наблюдение на тяхното текущо съответствие
- Изпълнение на писмено Споразумение за обработка на данни с всеки ангажиран обработващ данни [3]
Администраторите не могат да прехвърлят отчетността. Дори когато обработващ данни причини нарушение, администраторът остава отговорен пред надзорните органи за избора си на обработващ данни и адекватността на договорните гаранции.
Какви са основните отговорности на обработващия данни съгласно GDPR?
Обработващите данни имат преки задължения по GDPR, не само договорни, и не могат да третират съответствието като проблем само на администратора [3].
Преките задължения на обработващия данни съгласно GDPR включват:
- Обработка на данни само по документирани инструкции от администратора
- Прилагане на подходящи технически и организационни мерки за сигурност
- Поддържане на записи на всички дейности по обработка, извършвани от името на администраторите
- Уведомяване на администратора за всяко нарушение на данни без ненужно забавяне
- Подпомагане на администратора при изпълнение на искания за права на субектите на данни
- Изтриване или връщане на всички лични данни при прекратяване на договора
- Ангажиране на подизпълнители само с предварително писмено разрешение от администратора [3]
"Обработващите данни имат преки задължения съгласно GDPR, не само договорни задължения, и са изправени пред регулаторна експозиция, ако действат извън законосъобразните инструкции на администратора."
Кой носи отговорност при нарушение на данни: администраторът или обработващият данни?
И двете страни могат да носят отговорност, но обхватът се различава. Съгласно член 82 от GDPR, всяко лице, което е претърпяло вреди от нарушение на GDPR, има право да претендира обезщетение от отговорния администратор или обработващ данни [2].
Администраторите носят отговорност за вреди, причинени от всяка обработка, която нарушава GDPR. Обработващите данни носят отговорност само когато не са спазили задълженията по GDPR, конкретно насочени към обработващите данни, или когато са действали извън или в противоречие със законосъобразните инструкции на администратора [2].
Разпределение на отговорността на практика:
- Ако обработващ данни претърпи нарушение, защото администраторът е дал неадекватни инструкции за сигурност, администраторът вероятно носи основна отговорност.
- Ако обработващ данни е пренебрегнал изискванията за сигурност на администратора, обработващият данни носи пряка отговорност.
- И двете страни могат да бъдат държани солидарно отговорни, което означава, че субект на данни може да преследва всяка от страните за пълния размер на вредите, оставяйки ги да разпределят отговорността помежду си впоследствие.
Обработващ данни може да избегне отговорност, като докаже, че не е бил виновен за събитието, причинило вредата [2]. Това е висока летва: обработващият данни трябва да демонстрира пълно съответствие със своите задължения по GDPR.
Може ли една компания да бъде едновременно администратор и обработващ данни?
Да. Една организация може едновременно да действа като администратор за някои дейности по обработка и като обработващ данни за други, дори в рамките на едно и също бизнес отношение [1].
Например, дигитална маркетингова агенция може да действа като администратор, когато управлява собствени HR данни на служители, и като обработващ данни, когато провежда рекламни кампании, използвайки данни на клиенти. Ролята се определя дейност по дейност, а не компания по компания.
Може ли обработващ данни да стане администратор, ако използва данни за собствени цели?
Обработващ данни автоматично става администратор в момента, в който използва лични данни за цели извън инструкциите на администратора [1]. Това е едно от най-значимите грешни класификации на практика.
Ако доставчик на облачни анализи започне да извлича данни на клиенти, за да обучава собствени AI модели без разрешение, той е излязъл извън ролята на обработващ данни и е приел статут на администратор за тази дейност, с всички произтичащи от това задължения по GDPR и излагане на отговорност. Никаква договорна клауза не може да предотврати тази прекласификация; това е въпрос на факт, а не на споразумение.
Как Споразуменията за обработка на данни защитават обработващите данни от отговорност?
Споразумението за обработка на данни (DPA) е задължителен правен инструмент съгласно GDPR винаги, когато администратор ангажира обработващ данни [3]. За обработващите данни, добре изготвеното DPA е основният механизъм за ограничаване на излагането на отговорност.
Съвместимото DPA трябва да посочва:
- Предметът, продължителността, естеството и целта на обработката
- Видът на личните данни и категориите субекти на данни
- Задълженията и правата на администратора
- Изискванията за поверителност за упълномощен персонал
- Мерките за сигурност, които трябва да бъдат приложени
- Условия за ангажиране на подизпълнители
- Процедури за връщане или изтриване на данни при приключване на договора [3]
Когато обработващ данни действа стриктно в обхвата на DPA, отговорността за всяка произтичаща вреда се прехвърля предимно на администратора. Обратно, ако обработващ данни надхвърли тези инструкции, DPA става доказателство за отклонението, а не щит.
Какво се случва, ако обработващ данни наруши правилата на GDPR?
Обработващите данни, които нарушават GDPR, са изправени както пред регулаторни глоби, така и пред гражданска отговорност за вреди. Надзорните органи могат да налагат административни глоби директно на обработващите данни, до 20 милиона евро или 4% от глобалния годишен оборот за най-сериозните нарушения, което от двете е по-високо [2].
Освен глобите, обработващите данни са изправени пред искове по член 82 от субекти на данни, които са претърпели вреди. Те могат също така да бъдат изправени пред договорна отговорност пред администратора съгласно DPA, включително задължения за обезщетение.
Нуждаят ли се обработващите данни от собствен длъжностно лице по защита на данните?
Обработващите данни подлежат на същите прагове за назначаване на DPO като администраторите. Обработващ данни трябва да назначи DPO, ако извършва широкомащабно, систематично наблюдение на физически лица или обработва специални категории данни или данни за присъди за престъпления в голям мащаб [1].
Бидейки обработващ данни, не освобождава организацията от изискването за DPO. Много големи доставчици на облачни услуги и SaaS платформи, които действат като обработващи данни, са задължени да поддържат DPO именно поради обема и чувствителността на данните, които обработват.
Каква е разликата в глобите по GDPR между администратори и обработващи данни?
Двустепенната структура на глобите по GDPR се прилага еднакво за администратори и обработващи данни. Първото ниво обхваща по-малко сериозни нарушения (до 10 милиона евро или 2% от глобалния оборот); второто ниво обхваща най-сериозните нарушения, включително незаконна обработка и неспазване на правата на субектите на данни (до 20 милиона евро или 4% от глобалния оборот) [2].
Няма законово намаление за обработващите данни. Въпреки това, на практика, надзорните органи оценяват вината, сътрудничеството и естеството на нарушението при определяне на размера на глобите, фактори, които могат да доведат до различни резултати за администратори спрямо обработващи данни при един и същ инцидент.
Имат ли подизпълнителите различна отговорност от основните обработващи данни?
Подизпълнителите носят същите задължения по GDPR като основните обработващи данни, но са договорно обвързани с основния обработващ данни, а не директно с администратора. Критичното разграничение: основният обработващ данни остава изцяло отговорен пред администратора за изпълнението на подизпълнителя [3].
Ако подизпълнител причини нарушение, правното средство за защита на администратора е срещу основния обработващ данни. Основният обработващ данни трябва след това да преследва подизпълнителя отделно. Подизпълнителите могат също така да бъдат изправени пред пряко регулаторно действие от надзорните органи за собствените си нарушения на GDPR.
Правила за подизпълнители накратко:
- Изисква се предварително писмено разрешение от администратора преди ангажиране на подизпълнител
- Основният обработващ данни трябва да наложи еквивалентни задължения за защита на данните на подизпълнителя
- Основният обработващ данни не може да избегне отговорност, като посочи вина на подизпълнителя
Как да определите дали сте администратор или обработващ данни за вашия бизнес?
Определянето зависи от един-единствен въпрос: вашата организация независимо ли решава защо се обработват лични данни? Ако да, вие сте администратор. Ако обработвате данни само защото друго лице ви е инструктирало да го направите и нямате независима цел, вие сте обработващ данни [1].
Практически контролен списък за вземане на решения:
- Кой е решил да събира тези данни на първо място?
- Кой е определил за какво ще се използват данните?
- Вашата организация има ли право на преценка относно начина на обработка на данните, или следвате спецификациите на друга страна?
- Ще спре ли обработката, ако другата страна оттегли инструкциите си?
- Използвате ли данните за някаква цел, която е от полза за вашата организация независимо?
Ако вашите отговори сочат в различни посоки по тези въпроси, може да сте съвместен администратор, ситуация, изискваща отделно споразумение за прозрачност с другата страна [1].
Какви са често срещаните грешки, които компаниите правят с ролите на администратор и обработващ данни?
Грешното класифициране е най-разпространената грешка и тя носи реални последици за съответствието. Организациите често приемат, че наричането им "доставчик" или "доставчик на услуги" в договор ги прави обработващи данни, когато действителното им поведение ги квалифицира като администратори.
Други чести грешки:
- Пропускане на DPA: Администраторите, ангажиращи обработващи данни без писмено DPA, са в пряко нарушение на GDPR, независимо колко сигурни са системите на обработващия данни.
- Неуспех при проверка на подизпълнители: Администраторите често пренебрегват факта, че техният обработващ данни е ангажирал подизпълнители без разрешение или еквивалентни договорни защити.
- Предполагане, че обработващите данни се справят с правата на субектите на данни: Администраторите остават отговорни за отговарянето на исканията на субектите на данни; обработващите данни само помагат.
- Игнориране на риска от прекласификация: Обработващите данни, които разширяват своите услуги и започват да използват данни на клиенти за анализи, обучение на модели или сравнителен анализ, могат неволно да станат администратори, без да осъзнават промяната.
За организации, управляващи съгласие и потоци от данни през уебсайтове и дигитални имоти, платформа за управление на съгласие като Biscotti CMP може да помогне на администраторите да документират законови основания и да управляват записи за съгласие, основен елемент на отчетността на администратора съгласно GDPR.
Как трябва малък бизнес да се справя с отговорностите на администратор срещу обработващ данни?
Малките предприятия не са освободени от рамката на GDPR за администратор-обработващ данни. Ако малък бизнес събира данни на клиенти, дори само имейл адреси за бюлетин, той е администратор и трябва да спазва всички задължения на администратора.
Практически стъпки за малки предприятия:
- Картографирайте всеки инструмент или доставчик, който обработва лични данни от ваше име (имейл платформи, инструменти за анализ, платежни процесори, CRM).
- Потвърдете дали съществува подписано DPA с всеки доставчик.
- Проверете дали DPA на всеки доставчик отговаря на минималните изисквания на GDPR.
- Публикувайте съвместимо известие за поверителност, което точно описва вашите дейности по обработка.
- Установете процес за отговаряне на исканията на субектите на данни в рамките на 30-дневния законов срок.
Законът за данните (използване и достъп) от 2026 г. на Обединеното кралство, който получи кралско съгласие на 19 юни 2026 г., въвежда допълнителни изменения в законодателството за защита на данните, които малките предприятия, базирани в Обединеното кралство, трябва да прегледат с правен съветник, за да гарантират, че техните задължения като администратори остават актуални [1].
Често задавани въпроси
В: SaaS компания винаги ли е обработващ данни? SaaS компания е обработващ данни само когато обработва лични данни стриктно от името на своите клиенти и без независима цел. Ако използва данни на клиенти за собствени анализи, подобряване на продукти или маркетинг, тя става администратор за тези дейности.
В: Трябва ли обработващ данни да се регистрира в надзорен орган? Изискванията за регистрация варират в зависимост от държавата-членка на ЕС. Въпреки това, обработващите данни трябва да поддържат вътрешни записи на дейностите по обработка (RoPA) съгласно член 30 от GDPR, ако наемат 250 или повече души, или ако обработката е вероятно да доведе до риск за субектите на данни.
В: Може ли обработващ данни да откаже инструкция на администратор? Да, ако следването на инструкцията би изисквало от обработващия данни да наруши GDPR. В такива случаи обработващият данни трябва да уведоми администратора и, ако инструкцията не бъде коригирана, може да се наложи да прекрати отношенията.
В: Какво е споразумение за съвместен администратор? Съвместни администратори съществуват, когато две или повече лица съвместно определят целите и средствата за обработка. Те трябва да документират съответните си отговорности в прозрачно споразумение и да предоставят същността на това споразумение на субектите на данни [1].
В: Колко дълго трябва да остане в сила DPA? DPA трябва да остане в сила за целия период на отношенията по обработка. При прекратяване то урежда задължението на обработващия данни да изтрие или върне всички лични данни.
В: Отговорни ли са обработващите данни за глоби, наложени на администратори? Не. Глобите се налагат на лицето, извършило нарушението. Въпреки това, обработващите данни могат да бъдат изправени пред отделни глоби за собствени нарушения и могат да бъдат изправени пред искове за обезщетение от администратори съгласно DPA.
В: Прилага ли се GDPR за обработващи данни, намиращи се извън ЕС? Да. GDPR се прилага за обработващи данни извън ЕС, когато те обработват лични данни на жители на ЕС от името на администратори, базирани в ЕС, или когато по друг начин подлежат на териториалния обхват на GDPR съгласно член 3.
В: Каква е разликата между DPA и Стандартна договорна клауза? DPA урежда отношенията между администратор и обработващ данни на национално ниво. Стандартните договорни клаузи (SCCs) са специфични договорни механизми за прехвърляне на лични данни към трети държави извън ЕС/ЕИП, които нямат решение за адекватност.
Заключение
Администратор срещу Обработващ лични данни: Разбирането на Вашата отговорност съгласно GDPR не е абстрактно правно упражнение, то определя кой е изправен пред регулаторни глоби, кой обезщетява субектите на данни и кой е отговорен пред надзорните органи, когато нещо се обърка. Разграничението се основава на фактически въпрос относно правомощията за вземане на решения, а не на договорни етикети.
Действени следващи стъпки:
- Извършете упражнение за картографиране на данни, за да идентифицирате всяка дейност по обработка и ролята на вашата организация във всяка от тях.
- Проверете съществуващите договори с доставчици, за да потвърдите, че са налице съвместими DPA с всеки обработващ данни, когото ангажирате.
- Прегледайте споразуменията с подизпълнители, за да гарантирате, че съществува предварително разрешение и са наложени еквивалентни задължения.
- Ако действате като администратор и обработващ данни в различни дейности, документирайте всяка роля поотделно.
- За организации от Обединеното кралство прегледайте последиците от Закона за данните (използване и достъп) от 2026 г. с квалифициран правен съветник.
- Внедрете решение за управление на съгласие като Biscotti CMP, за да поддържате одитируеми записи за съгласие и да поддържате задълженията си като администратор.
Грешното класифициране не е технически детайл, то е пропуск в съответствието с преки финансови и репутационни последици. Правилното определяне на ролите от самото начало е най-рентабилната инвестиция в GDPR, която всяка организация може да направи.
Източници
[1] What Are Controllers And Processors - https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/controllers-and-processors/controllers-and-processors/what-are-controllers-and-processors/?utm_source=openai
[2] Art 82 GDPR - https://gdpr-info.eu/art-82-gdpr/?utm_source=openai
[3] Controller And Processor Relationships - https://dataprotection.ie/en/organisations/know-your-obligations/controller-and-processor-relationships?utm_source=openai